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@ Sicherheitsbezogenes Steuer- und Datenubertragungssystem 

@ Der Erfindung liegt die Aufgabe zugrunde, ein sicher- 
haitsbezogenes Steuer- und Datenubertragungssystem 
bereitzustellen, mit welchem fur die Obertragung einessi- 
cherheitsbezogenen Signals die Unterbrechung einerBit- 
folge ausreicht. Hierzu ist erfindungsgemaR vorgesehen, 
da(^ der auf einem Feldbus (10) ubertragene Datenstrom 
(15, 23) eine der sicherheitsbezogenen Eingangseinrich- 
tung (12, 13) zugeordnete laufende Nummer (26) umfaf^t, 
und eine Unterbrechung des Datenstroms oder der lau- 
fenden Nummer (26) das Schalten der zugeordneten Sy- 
stemkomponente in einen sicheren Zustand zur Folge hat. 
Ein Kerngedanke der Erfindung ist somit darin zu sehen, 
daii bereits in Ansprechen auf die Unterbrechung einer 
bestimmten Dynamik eine zugeordnete si cherheitsbezo- 
gene Systemkomponente abgeschattet werden kann. 
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Beschreibung 

Die Hrfindung betrifft. ein sicherheit5bezogenes Steuer- 
und Datenubertragungssystem gemafi dem Oberbegriff des 
Anspruchs 1. 5 

Im Zuge einer stetig zunehmenden Automatisierung von 
ProzeBablaufen erfolgt die gezielte, aufeinander abge- 
stimmte Ansteuerung und Abfrage einzelner in den ProzeB 
eingebunden Maschinen, Anlagen, Akluatoren und Senso- 
ren haufig unter Verwendung von seriellen Feldbussyste- lO 
men. Je komplexer das AusmaB bzw. der Grad der Automa- 
tisierung ist, desto hoher sind ofUnals auch die sicherheits- 
technischen Anfordemngen, welchen ein Feldbussystem ge- 
niigen muB. 

WeLsen einzelne Maschinen und/oder Anlagen in Ihrer 15 
Funktion Fehler auf, miissen je nach den vorliegenden si- 
cherheitstechnischen Vorgaben und Normen z. B. einzelne 
Gerafe, Anlagenbereiche, oder auch der gesamte ProzeB mit. 
Hilfe entsprechender Steuersignale (z. B. Notaus) in einen 
sicheren Zustand gefahren werden. 20 

Um bestehende Feldbussysteme sicherheitstechnisch da- 
hingehend zu verbessern, daB zur Ubertragung derartiger 
Steuersignale weder zusatzliche T>eitungen noch redun- 
dante, sicherheitsbezogene Baugruppen erforderlich sind, 
sieht die Deutsche Offenlegungsschrift 197 42 716.2 vor, in 25 
der Master-Steuereinrichtung und bei den Busteilnehmern 
jeweils sicherheitsbezogene Einrichtungen zuni Ausfiihren 
vorbesttmmrer Sicherheitsfunktionen anzuordneten, so daB 
diese sicherheitsbezogenen Einrichtungen iiber den Feldbus 
miteinander kommunizieren konnen. 30 

Aufgabe der Erfindung ist es, ein sicherheitsbezogencs 
Steuer- und Dateniibertragungssysteni bereitzustellen, mit 
wclchcm far die Ubertragung cincs sichcrhciLsbczogcncn 
Signals, wie beispielsweise ein Notaus-Signal, bereits die 
Unterbrechung einer Bitfolge ausreicht. 35 

Die Losung der Aufgabe ist durch ein sicherheitsbezoge- 
nes Steuer- und Dalenubertragungssysleiii iiiiL den Merkiiia- 
len des Anspruchs 1 gegeben. 

An dieser S telle sei zunachst ausdriicklich darauf hinge* 
wiesra, dafi nachfolgend mit dem Begriflf "System" sowohl 40 
eine Vorrichtung als auch ein Verfahren erfaBt wird. Femer 
wird der lohalt der vorstehend aufgefuhrten DH-OS- 
197 42 716.2 durch Bczugnahmc vollum^nglich auch zum 
Gegenstand dieser Offenbarung gemacht 

Ein wesentlicher Kemgedanke der Erfindung liegt darin, 45 
ein sicheifaeitsbezogenes Steuer- und Dateniibertragungssy- 
sleiii derart auszubilden, daB bereits in Ansprechen auf (Ue 
Untfirbrechung einer hestimmten Dynamik eine zugeord- 
nete sicherheitsbezogene Systemkomponente abgeschaltet 
werden kann. 50 

Vorgesehen ist ein sichcrheitsbezogenes Steuer- und Da- 
tenubertragungssystem mit einem serieUen Feldbus, an wel- 
chen cine Mastcr-Einrichtung und wcnigstcns cin Bustcil- 
nehmer angeschaltet sind. Je nach Art des Busteilnehmers 
sind daran sicherheitsbezogene Eingangs- und/oder Aus- 55 
gangseinrichtungen ausgebildet, die mit einzelnen System- 
komponenten verbunden sind, die so iiber den Feldbus kom- 
munizieren konnen. Der iiber den Feldbus laufcndc Datcn- 
strom wird iiber die Bingangseinrichtung mit notwendigen 
Eingangsdaten aktualisiert, so daB unter Ansprechen auf den 60 
jeweiligen Datenstrom iiber die Ausgangseinrichtung ein 
enisprechendes Schallen einer zugeordnelen Systeinkoiupo- 
nente bewirkt wird. 

ErfindungsgemaB ist ferner vorgesehen, daB in den Da- 
tenstrom zusiitzlich eine der sicherheitsbezogenen Ein- 65 
gangseinrichtung zugeordnete laufende Nummer eingefugt 
ist, und eine Unterbrechung des Datenstroms oder der lau- 
fcndcn Nummer das Schallen der zugcordnctcn System- 
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komponente in einen sicheren Zustand zur Folge hat. 

Unler einer sicherheitsbezogenen Eingangs- bzw. Aus- 
gangseinrichtung ist hierbei eine Finrichtung zu verstehen, 
die im wesentlichen unter Ansprechen auf Zustandsinforma- 
tionen der Anlage vorbestinmite Sicherheitsfunktionen aus- 
fuhrt, die es ermoglichen, daB die gesamte Anlage, vorbe- 
stimnite Baugruppen oder Abschnitte der Anlage einen deti- 
nierten Zustand erreichen konnen. So ist eine Bingangsein- 
richtung beispielsweise mit einer iiberwachenden System- 
komponente, wie einem Sensor und eine Ausgangseinrich- 
tung mit einer zu sichemden Systemkomponente, wie einem 
Roboter verbunden. 

Fin derartiges erfindungsgemaBes System bietetden Vor- 
teil, daB auf die Ubertragung einer Steuer-Information, wie 
beispielsweise Not- Aus, als explizites Bit innerhalb des Da- 
tenstroms verzichtet werden kann und die Verwendung der 
laufenden Nummer in Abhangigkeit von einer erzielbaren 
Restfehlerwahrscheinlichkeit bereits als einzige MaBnahme 
fiir sicherheitsgerichtete Anwendungen ausreicht. 

In bevorzugter Weiterbildung ist vorgesehen, eine busteil- 
nehmer- und/oder verbindungsabhangige d3niamiscbe Ab- 
folge fiir die laufende Nummer vorzudefinieren, so daB das 
Senden einer siatischen Information, die kein Glied der Ab- 
folge reprasentiert zum Abschalten zugeordneter System- 
komponenten fiihrt. Ermoglicht wird hierdurch auch eine 
Voreinstellung bei dem jeweiligen Busteilnehmer, die nicht 
bei jeder Unterbrechung zum Abschalten riihrt, sondem zu- 
nachst ein ein- oder mehrmaliges Nichterkennen einer zuge- 
ordnelen Nummer toleriert, so daB dieses zu einem definier- 
ten verzSgerten Abschalten fuhrt oder durch die Verz<5ge- 
rung deftniert Zeit lasst, durch Korrekturprogramme oder - 
routinen Fehler zu beheben. 

Ist der Feldbus als Ring ausgebildet, und wcist der Daten- 
strom eine der Ausgangseinrichtung zugeordnete Zieladres- 
sierung sicherheitsbezogener Daten auf, konnen die Busteil- 
nehmer aktiv auf die durchgereichten Informationen zugrei- 
fen, welches zu einer wesenUich schnelleren Obertragungs- 
geschwindigkeit fiihrt 

Ist zusatzlich eine Sicherheits-Master-Binrichtung dem 
Feldbus angeschaltet, kann hiertiber dne zentrale Weiterver- 
arbeitung der Bingangsinformationen erfolgen, insbeson- 
dere eine Lokalisierung und/oder Visualisierung einer mog- 
lichcn Fchlcrqucllc. Auch kann bcispicbwcisc das Abschal- 
ten der Versoigungsspannung aller Busteilnehmer eine vor- 
definierte Reakcion sein. 

In der Praxis hat es sich femer gezeigt, daB sicherheitsbe- 
zogene Einrichtungen of Imals iiiehrkanalig ausgebildet wer- 
den miissen, um eine geforderte Sicherheitskategorie zu er- 
reichen oder die notwendige Datenmenge iibertragen zu 
kbnnen. 

ZweckmaBigerweise wird zur sicherheitsbezogenen 
Kommunikation uber den Feldbus ein vorbestimmter Daten- 
rahmcn vcrwcndct, in wclchcm Ubcr die Bingangseinrich- 
tung sicherheitsbezogene Dat^ in Form eines Protokolls 
Oder Telegramms generiert werden. Vorzugsweise ist vorge- 
sehen, ein Interbus-I^otokoll zu verwenden, wobei der Da- 
tenrahmen als Suimiienrahmen ausgebildet ist, in dem die 
Nutzdatcn aller angcschaltctcn Busteilnehmer cnthalr.cn 
sind. 

Erfindungsgemafi wird femer vorgeschlagen, die Aus- 
gangsbaugruppe mit einer VerimUpfungslogik bereitzustel- 
len, wodurch eine sicherheitsbezogene Progrdimiderung 
durchfiihrbar ist. Dariiher hinaus hat es sich als vorteilhaft 
erwiesen, Busteilnehmer mit einem konsistenten Abbild we- 
nigstens von Ibilbereichen des zu steuemden Ptozesses aus- 
zustatten. So kdnnen die sicherheitsgerichteten Informatio- 
nen direkt ausgewahlt werden, so daJ3 eine Koimiiunikation 
liber den Master nicht mchr notwcndigcrwcisc erforderlich 
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ist. 

Die Erfindung vvird nachfolgend anhand eines Ausfiih- 
rungsbeispiels in Verbindung mit den beiliegenden Zeich- 
nungen beschrieben. Es zeigen: 

Fig, 1 ein stark schematisienes Blockdiagramm einer bei- 5 
spielhaften Interbus-Topologie zur Verwirklichung der Er- 
findung, 

Fig. 2 eine Prinzipskizze eines beispielhaften Datenrah- 
mens mit einem, eine laufende Nummer umfassenden Si- 
cherheitsprotokoll, und lO 

Fig, 3 ein der Fig. 1 entsprechendes Diagrainin einer In- 
terbus-Topologie, bei welchem jedoch zusatzlich ein Sicher- 
heiti?masier angevschaltet. ist. 

Fig, 1 zeigt exemplarisch ein Feldbussystem, das auf dem 
Interbus-System fur ein Steuer- und Datenubertragungssy- 15 
stem, wie dieses beispielsweise in der Fachliteratur "Inler- 
bus-S, Grundlagen und Praxis", Hiitbig Buchverlag, Heidel- 
berg, 1994, von Alfredo Baginsky et al. beschrieben wird, 
basiert und vorzugsweise der DIN EN 19258 geniigt. 

An den Interbus 10 sind eine Master-Steuereinrichtung 11 20 
und drei Busteilnehiner 12, 13 und 14 angeschaltet, Femer 
sind drei Datenblocke 15 skizziert, die in Richtung des 
Pfeils "A" die Ringstruktur durchlaufen. Die Busteilnehmer 

12 und 13 umfassen hierbei beispielbaft eine sicherheitsbe- 
zogene, mit einem Sensor gekoppelte Eingangseinrichtung. 25 
und der Busteilnehmer 14 eine sicherheitsbezogene Aus- 
gangseinrichtung, die mit einer zu sichemden Baugruppe 
verbunden ist. 

Es sei ausdriicklich darauf hingewiesen, daB die voriie- 
gende detaillierte Beschreibung lediglich auf eine beispiel- 30 
hafte Ausfuhrungsfonn Bezug nimmt, wohingegen die Er- 
findung auf andere Feldbussysteme sowie auf Systeme aus 
mchrcrcn zusammcngcschaltctcn, hctcrogcncn Fcldbussy- 
stemen anwendbar ist. 

Der Interbus 10 ist in an sich bekannter Weise derart er- 35 
weitert, daB der Zugriff auf die iiberLragenen Datenpakete 
15 nicht nur dem Master 11, sondern jeclem angeschlossenen 
Busteilnehmer bzw. Slave moglich ist. Die Slaves sind so- 
mit in der Lage, die durch sie durchgereichten Informatio- 
nen aktiv zu lesen und zu bearbeiten. 40 

Die Datenpakete 15 entsprechen Daten-Containem, die 
alle angeschlossenen Buskomponenten durchlaufen. 

Die bci Fig. 1 dargcstcUtc Topologic dcs Systems als 
Ringsystem wird besonders fur schnelle Ubertragungsge- 
schwindigkeiten verwendet Der Master muB iin Bussystem 45 
nur noch die Aufgabe haben, die eigentliche Ubertragung 
z. B. durch Generierung des Taktes zu gewahrleisten. 

Jede angeschlossene Kinheit 12, 13 und 1 4 ist in der T.age, 
die empfangenen Daten zu lesen und zu verarbeiten, wovon 
insbesondere der Busteilnehmer 14 mit sicherheitsbezoge- 50 
nen Ausgangsmodulen Gebrauch macht. 

Sowohl die sicherheitsbezogenen Eingangseinheiten 12, 

13 als auch die sicherheitsbezogene Ausgangscinhcit 14 
sind intern sicher, d. h. den vorgegeben Sicherlieitsanforde- 
rungen entsprechend, aufgebaut, Sie verfOgen in der Kegel 55 
uber mehrkanalige Hardware, entsprechende Software und 
die fiir die Sicherheitskategorie 2 bis 4 jeweils notweudigen, 
sich jedoch in ihrcrWirksamkcituntcrschcidcndcn Sclbsttc- 
stroutinen. 

Beispielhaft wird das vom Interbus 10 bereits bekannte, 60 
bei Fig, 2 dargestellte Summenrahmenprotokoll 20 verwen- 
det, um die Eingangsdaten 15 des angeschalteten Ibilneh- 
mers 14 zu iibertragen. Der Surnmenrahmen 20 wird in ei- 
nem Buszyklus iibertragen. Am Anfang der Ubertragung be- 
findet sich beispielsweise ein Start- und am Ende ein Bnde- 6S 
zeichen 21 bzw. 22 mit z. B. einer Priif- oder Check-Sc- 
quenz. 

Sicherheitsbezogene Inforinationcn schlicBlich wcrdcn in 



562 A 1 

4 

ein SicherheitsprotokoU 23 eingeschrieben und durch zu- 
satzliche Infonnationen, wie insbesondere auch in der voll- 
umfanglich durch Bezugnahme hier inkorporierten DH-OS- 
197 42 7 16.2 beschrieben, abgesichert. 

Es sei jedoch darauf hingewiesen, daB als sicherheitsbe- 
zogene Daten oder Informationen jeweils Daten verstanden 
werden, die den Sicherheitszustand des jeweiligen Bus-Teil- 
nehmers oder auch der Master-Sicherheitseinrichtung dar- 
stellen. 

Die SicherheitszustSnde eines Bus-Teilnehmers werden 
von Uberwachungseinrichtungen, insbesondere Sensoren 
erfaBt, die den zu sichernden Baugruppen, die an dem jewei- 
ligen Busteilnehmer angeschaltet sind, zugeordnet sind. 

Beispielsweise erfaBt ein Sensor die Drehzahl einer Ma- 
schine. In diesem Fall zeigen die sicherheitsbezogenen Da- 
ten an, ob die Drehzahl der Maschine im Toleranzbereich 
liegt oder eine kritische Drehzahl iiberschritten hat. Das bei- 
spielhaft dargestellte Protokoll 23 umfaBt dann ein entspre- 
chendes Sicherheitsdatum 23a einschlieBlich einer sicher- 
heitsbezogenen Eingangsinformadon 24, und einen Sicher- 
heitscode 23b. Bei den Daten des Sicherheits -Codes kann es 
sich beispielsweise uni eine negierte Hingangsinformation 
25, eine laufende Nummer 26, eine Adresse 27, ein Codesi- 
cherungsverfahren z. B. "CRC" 28 und um eine Tfeilnehme- 
radresse 29 handeln. 

Alle Informationen konnen fur die Sicherheitstechnik 
herangezogen werden, mussen aber nicht alle gleichzeitig 
im Sicherheitstelegramm 23 vorhanden sein. Wird beispiels- 
weise in Abhangigkeit von der geforderten Sicherheitskate- 
gorie keine negierte Hingangsinformation 25 benotigt, kann 
sie im Sicherheits- Code 23b unberiicksichtigt bleiben. 

Die alternative Verwendung der einzelnen MaBnahmen 
kann fcmcr davon abhangcn, wicvicic sichcrhciLsbczogcnc 
Daten abgesichert werden mussen. In jedem Fall ausschlag- 
gebend ist jedoch die geforderte Sicherheitskategorie, bei- 
spielsweise nach EN 954-1, woraus sich entsprechende 
MaBnahmen zur Veniieidung bzw. Beherrschung von Feh- 
lem ergeben. 

Der Teilnehmer 14 mit sicherheitsbezogener Ausgangs- 
einrichtung macht sich nun die Eigenschaft des Bussystems 
zunutze, die gesamten Informationen, die iibertragen wer- 
den, ignorieren, kopieren oder verarbeiten zu konnen. Br- 
kcnnt cinc'sichcrhcitsbczogcnc Ausgangskotnponentc z. B., 
daB ein sicherheitsbezogene Eingang gesetzt wurde (No- 
taus, . . X schaltet sie den ihr zugeordneten Ausgang, und 
somit die zu sichemde Baugruppe in den sicheren Zustand. 
Auf welchen sicherheitsbezogenen Eingang welcher sicher- 
heitsbezogene Ausgang reagieren soli, wird dabei vom An- 
wender parametriert. Vorprogrammierte Funktionsbausteine 
konnen ihm diese Arbeit besonders bei umfangreichen si- 
cherheitsbezogenen Daten erleichtem. 

Die mit einer Eingangsbaugruppe verbundene sicher- 
heitsbezogene Eingangseinrichtung 12, 13 gcncricrt den 
oben beschriebenen Sichecfaeits-Code und fUgt die notwen- 
digen Informadonen wie z. B. die auf einem Algorithmus 
basierende laufende Nummer 26 in den Datenstrom ein. 
Hine eigene Programmierung der sicherheitsbezogenen Ein- 
gangseinrichtung ist dahcr in den mcistcn Fallen nicht crfor- 
derlich. Je nach Auspragung des Teilnehmers muB er nicht 
in jedetn Fall auch sicherhdtsgerichtet aufgebaut werden. 

Bine Unterbrechung des Datenstroms oder der laufenden 
Nummer Iiihrt dazu, daB die sicherheitsbezogene Ausgangs- 
einrichtung 14 die ihr zugeordneten Ausgange in den siche- 
ren Zustand schaltet, einen sogenannten "(Application- 
) Watchdog" realisiert. Dabei ist es moglich, daB nicht jede 
Unterbrechung zum Abschalten fiihrt, sondem dafi der Teil- 
nehmer ein ein- oder mehrmaliges Nichterkennen einer 
Nummer vordcfinicrt ignoricrt. 
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Die Festlegung aiif eine teilnehmerabhangige, fest vorge- 
gebenen Werleiiienge fur die laufende Nuiiiiiier, erlaubL fer- 
ner die Zuordnung eines Hinganges zu verschiedenen Aus- 
gangen und umgekehrt. Folglich kann bei dem angegebenen 
Beispiel die Verwendung der laufenden Nummer 26 in Ab- 5 
hangigkeit von der erzielbaren Restfehlerwahrscheinlichkeit 
auch als einzige Mafinahme fur die sicherheitsbezogene An- 
wendungen ausreichend sein. Sogar der Verzicht auf die 
tibertragung der Information wie z. B. Notaus als explizites 
Bit im SicherheitsprotokoU 23 ist bei entsprechender Aus- 10 
wahl der MaBnahiiie(n) iin Sicherheits-Code 23b moglich. 

Ferner ist eine teilnehmerabhangige bzw. verbindungsab- 
hangige Definition von Wertemengen fur die laufende Num- 
mer 26 erfindungsgemaB verwendbar. Das Abschalten der 
sicherheitsbezogenen Ausgiinge konnte auch z. B. durch das 15 
Senden einer statischen Infonnation, die nicht im Wertebe- 
reich der laufenden Nummer liegt, erfolgen. 

Tm Bussysrem konnen sich mehrere sicherheitsbezogene 
Eingangs- und Ausgangseinrichtungen gemischt mit nicht 
sicherheitsbezogenen Ein- bzw, Ausgangseinheiten oder 20 
aber auch nur sicherheitsbezogene bzw. nicht sicherheitsbe- 
zogene Informationen befinden. 

Tn vielen Fallen mlissen die vSicherheitskomponenten wie 
zuvor beschrieben mehrkanalig aufgebaut werden, um die 
geforderte Sicherheitskategorie zu erreichen oder um eine 25 
entsprechend hohe Datenmenge ubertragen zu konnen. Fiir 
geringere Anforderungen kann aber auch eine einkanalige 
Realisierung ausreichend sein. Speziell die Fingangsbau- 
gruppen konnen bei entsprechendem Aufbau des Sicher- 
heits-Codes 23b ohne Mehrkanaligkeit auskommen. 30 

Besitzen alle Teilnehmer 12, 13 und 14, insbesondere 
aber die Ausgangkomponente 14, ein konsistentes Abbild 
dcs Prozcsscs, wcrdcn auf dicscr die sicherheitsbezogenen 
Informationen eigenstandig und direkt ausgewiililt. Eine 
Kommunikation uber den Master 11 oder eine Verarbeitung 35 
der Information auf einer (Sicherheits-) Stcuerung wie in 
heuiigen Mas ter-/S lave- Systemen ist dann nicht mehr unbe- 
dingt erforderlich, jedoch immer noch moglich. 

So ist es auch moglich, daJJ ein Anwender auf einer Aus- 
gangsbaugruppe Verkniipfungsregeln erstellt und dadurch 40 
eine sicherheitsbezogene Programmierung durchfuhrt. Sen- 
den z. B. die sicherheitsbezogenen Eingangsmodule dyna- 
misicrtc Bingangswcrtc, railsscn sic sclbst u. U. nicht sichcr- 
heitsgerichtet aufgebaut sein. Die Bearbeitung der Ein- 
gangsinfonnationen Ubernimmt dann ein, bei Fig. 3 mit 30 45 
gekennzeichneter Sicherheits-Master. Der Sicherheits-Ma- 
ster 30 lokalisierl insbesondere die Fehlerquelle und zeigt 
sie beispielsweise akustisch und/oder optisch an zentraler 
SteLie an. Das Ergebnis der Reaktion wird dabei im Abschal- 
ten der Versoigungsspannung aller oder nur einig er Tfeilneh- 50 
mer 12, 13, und 14 bestehen. Der Sicherheits-Master 30 
ubernimmt im erster Fall dann die Funktion einer zentralen 
Abschaltcinrichtung, die hcutc noch vorwicgcnd mit No- 
taus-Relais vorgenonmien wird. 

Vom Prinzip kann die sicherheitsbezogene Ausgangs- 55 
komponente 14 auch als verteilte Sicherheits-Master be- 
zeichnet werden. 

Patentanspruche 

60 

1. Sicherheitsbezogenes Steuer- und Datenubertra- 
gungssyslem umfassend 

- einen seriellen Feldbus (10) mit einer daran an- 
geschalteten Master-Einiichtung (11) und wenig- 
stens einem Busteilnehmer (12, 13, 14), 65 

- wobei der Busteilnehmer wenigstens eine si- 
cherheitsbezogene Eingangs- und/oder Ausgangs- 
cinrichtung fiir wcitcrc Systcmkomponcntcn um- 
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faBt, die iiber den Feldbus (10) konununizieren 
konnen, 

- wobei Uber die Ringangseinrichtung (12, 13) 
eine Aktualisierung des Feldbus-Datenstroms 
(15) erfolgt, und 

- iiber die Ausgangseinrichtung (14) unter An- 
sprechen auf den Datenstrom (15) das Schalten ei- 
ner zugeordneten Systemkomponente erfolgt, 

dadurch gekennzeichnet, daB 

- der Datenstrom eine der Eingangseinrichtung 
(12, 13) zugeordnete laufende Nmnrner (26) imi- 
falSt, und 

- eine Unterbrechung des Darenstroms (15) oder 
der laufenden Nummer (26) das Schalten der zu- 
geordneten Systemkomponente in einen sicheren 
Zustand zur Folge hat. 

2. Sicherheitsbezogenes Steuer- und Dateniibertra- 
gungssystem nach An.spruch 1, dadurch gekennzeich- 
net, daB eine Busteilnehmer- und/oder verbindungsab- 
hangige dynamische Abfolge ftir die laufende Nummer 
(26) vordefiniert ist. 

3. Sicherheitsbezogenes Steuer- und Dateniibertra- 
gungssystem nach Anspruch 1 oder 2, dadurch gekenn- 
zeichnet, daJ3 der Feldbus (10) eine Ringstruktur auf- 
weist und iiber den Datenstrom eine der Ausgangsein- 
richtung zugeordnete Zieladressierung (27) sicher- 
heitsbezogener Daten (23a, 23b) erfolgt. 

4. Sicherheitsbezogenes Steuer- und Datentibertra- 
gungssystem nach Anspruch 1, 2 oder 3, dadurch ge- 
kennzeichnet, dal3 an den Feldbus (10) eine Sicher- 
heits-Master-Einrichtung (30) angeschaltet ist. 

5. Sicherheitsbezogenes Steuer- und Dateniibertra- 
gungssystcm nach cincm dor Anspriichc 1 bis 4, da- 
durch gekennzeichnet, daB die Eingangs- und/oder 
Ausgangseinrichtungen (12, 13, 14) mehrkanalig aus- 
gebildet ist. 

6. Sicherheitsbezogenes Steuer- und Dateniibertra- 
gungssystem nach einem der AnsprQche 1 bis 5, da- 
durch gekennzeichnet, daB die Kommunikation uber 
den Feldbus (10) unter Verwendung eines vorbestimm- 
ten Datenrahmens (20) erfolgt. 

7. Siclierheitsbezogenes Steuer- und Dateniibertra- 
gungssystcm nach Anspruch 6, dadurch gekennzeich- 
net, dafi liber die Eingangseinrichtung (12, 13) sicher- 
heitsbezogene Daten (23a, 23b) innerhalb des Daten- 
rahmens (20) generiert werden. 

8. Sicherheitsbezogenes Steuer- und Datenubertra- 
gungssystem nach einem der AnsprUche 1 bis 7, da- 
durch gekennzeichnet, daB der Feldbus ein Interbus 
nach DIN EN 19258 mit einem Sununenrahmen (20) 
als Datenrahmen ist, der Eingangs- und/oder Aus- 
gangsdaten (15) des Busteilnehmers (12, 13, 14) um- 
faBt. 

9. Sicherheitsbezogenes Steuer- und Datenubertra- 
gungssystem nach einem der AnsprQche 1 bis 8, da- 
durch gekennzeichnet, dafi die Ausgangsbaugruppe 
(14) eine Verkntipfungslogik umfaBt. 

10. Sicherheitsbezogenes Steuer- und Datcniibcrtra- 
gungssystem nach einem der AnsprQche 1 bis 9, da- 
durch gekoinzeichnet, daB der Busteilnehmer (12, 13, 
14) ein Abbild wenigstens eines Teils des zu steuem- 
den Prozesses aufweisL 
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